令和6年度 秋期 応用情報技術者試験 午後問題 問1 ペネトレーションテストとパスワード管理

ハッシュ関数は、入力されたデータから固定長の短い文字列（ハッシュ値）を生成する関数です。主な特性として、一方向性（不可逆性）があり、ハッシュ値から元のデータを復元（割り出し）することが計算量的に非常に困難です。

本問では、パスワードをそのまま（平文で）保存するのではなく、ハッシュ化して保存するメリットが問われています。万が一データベースからハッシュ値が漏えいしても、攻撃者が元のパスワードを割り出すことが難しいため、不正アクセスやリスト型攻撃などの二次被害を防ぐ効果があります。

高得点のポイント

• ハッシュ関数の不可逆性に着目していること。
• ハッシュ値から元のパスワードを復元（割り出し）することが困難である旨を明記すること。

情報セキュリティの3要素とは、機密性 (Confidentiality)、完全性 (Integrity)、可用性 (Availability) のことです。

本問のように会員テーブルのデータが「漏えい」した場合、許可されていない者に対して情報が開示されてしまう状態となります。これは情報セキュリティの3要素のうち機密性が直接的に侵害された状態に該当します。

高得点のポイント

• 情報セキュリティの3要素を正確に把握していること。
• 漏えいが「機密性」の侵害に該当することを理解していること。

パスワードを解読するための手法の一つとして、考えられる全ての文字の組み合わせを順に試す攻撃をブルートフォース攻撃（総当たり攻撃）と呼びます。

各選択肢の解説

• ア エスケープ: 特別な意味を持つ文字を無効化する処理のこと。主にインジェクション対策などで用いられます。
• イ 許可リスト: アクセスや実行を許可する対象を列挙したリスト（ホワイトリスト）のこと。
• ウ サニタイズ: 入力データから有害な文字やコードを無害化すること。
• エ 中間者: 通信を行う二者の間に割り込んで、通信内容を盗聴したり改ざんしたりする攻撃（中間者攻撃）のこと。
• オ ブルートフォース: 全ての組み合わせを試す総当たり攻撃のこと。正解です。
• カ プレースホルダ: SQL文などを組み立てる際に、後から値を割り当てるための場所取りのこと。SQLインジェクション対策に有効です。
• キ リプレイ: 過去の通信データを盗聴し、そのまま再送信することで正当なユーザーになりすます攻撃（リプレイ攻撃）のこと。

データベースを操作するSQL文に不正な文字列を注入して意図しない操作を行わせる「SQLインジェクション攻撃」への根本的な対策として、プレースホルダの利用が挙げられます。あらかじめSQL文の骨組みを作り、変動する値の部分をプレースホルダ（バインド変数）にしておくことで、入力値がSQL命令として解釈されるのを防ぎます。

各選択肢の解説

• ア エスケープ: 特殊文字を無効化する処理ですが、SQLインジェクション対策としてはプレースホルダ（バインドメカニズム）の利用がより根本的かつ推奨される対策となります。
• イ 許可リスト: アクセス制御などに用いられるリスト。
• ウ サニタイズ: 無害化処理のことですが、文脈上データベースのクエリパラメータに対する対策としてはプレースホルダが適切です。
• エ 中間者: 中間者攻撃のこと。通信経路上での脅威。
• オ ブルートフォース: パスワードなどを総当たりで試す攻撃。
• カ プレースホルダ: パラメータ化されたクエリに用いられる値の代入場所。正解です。
• キ リプレイ: 盗聴したデータを再送信する攻撃。

パスワードを単にハッシュ化して保存している（ソルトなどを付加していない）場合、元のパスワードが同じであれば、生成されるハッシュ値も完全に一致します。

本問では、会員番号“21717202”のパスワードが推測されたとあります。この会員と「同じハッシュ値」を持っている他の会員は、推測されたパスワードと同じパスワードを設定している可能性が非常に高く、不正アクセスの被害を受けるおそれが最も強くなります。したがって、表中で会員番号“21717202”と同じハッシュ値を持つ会員番号を探すことが正解の根拠となります。

各選択肢の解説

• ア 21717203: ハッシュ値が異なります。
• イ 30781985: 会員番号“21717202”とハッシュ値が一致しているため、同じパスワードを使用していると考えられます。正解です。
• ウ 36150833: ハッシュ値が異なります。
• エ 45905900: ハッシュ値が異なります。
• オ 45917046: ハッシュ値が異なります。

サイバー攻撃に対して、単一のセキュリティ対策に依存するのではなく、ネットワーク境界、サーバー、アプリケーション、データなどの各階層で複数のセキュリティ対策を組み合わせる考え方を多層防御 (Defense in Depth)と呼びます。

万が一、一つの防御壁が突破されたとしても、別の防御壁で脅威を検知・遮断することで、システム全体としての被害を防いだり最小限に抑えたりすることができます。

高得点のポイント

• セキュリティにおける複数の対策を組み合わせる概念を正しく理解していること。
• 「多層防御」という専門用語を正確に記述できること。

パスワードをハッシュ化する際、あらかじめ用意したランダムな文字列（ソルト）を付加することでレインボーテーブル攻撃（事前に計算されたハッシュ値のリストを用いた攻撃）を困難にすることができます。しかし、ソルトは通常、パスワードと同じデータベース（会員テーブル）に保存されるため、データベース全体が漏えいした場合は攻撃者にソルトも知られてしまいます。

一方、ペッパーはパスワードとは別の場所（アプリケーションのソースコード内や別のサーバーなど）に保存される秘密の文字列です。そのため、会員テーブルが窃取されただけではペッパーの値を知ることができず、攻撃者はレインボーテーブルを構築して攻撃することが極めて困難になります。

高得点のポイント

• 会員テーブルが窃取されてもペッパーの値は漏えいしないという前提に触れていること。
• ソルトが同テーブルに保存されることとの対比として、「ペッパーが得られない」論理を明確に記述していること。

総当たり攻撃などで試行しなければならないパスワードの組み合わせ数は、「使用できる文字の種類数」を底とし、「文字列の長さ（文字数）」を指数とした計算式で求められます。

使用できる文字の種類が 70 種類であり、ペッパーの長さ（文字数）が 4 文字である場合、考えられる全ての組み合わせは 70^4 となります。

高得点のポイント

• 組み合わせの数の計算方法（文字の種類数 ^ 文字数）を正確に理解していること。
• 指定された形式（x^yのような指数を用いた表記）に従って正しく解答していること。